--- title: "Souveränes Hosting Guide" description: "EU-souveränes Hosting: Der komplette Guide für deutsche KMU, die sich von US-Hyperscalern lösen." lastUpdated: "2026-06-23" canonical: "https://anvilstack.eu/insights/sovereign-hosting-guide" --- > Sitemap für Agenten: https://anvilstack.eu/llms.txt # Souveränes Hosting Guide Amazon, Microsoft und Google kontrollieren **70% des europäischen Cloud-Marktes** – europäische Anbieter halten nur noch 15%. ([Synergy Research: European Cloud Providers Hold 15% Market Share](https://www.srgresearch.com/articles/european-cloud-providers-local-market-share-now-holds-steady-at-15)) Für deutsche Mittelständler wird diese Abhängigkeit zum strategischen Risiko: Der US CLOUD Act, verschärfte EU-Regulierung und geopolitische Spannungen machen die Anbieterwahl zur strategischen Entscheidung. Dieser Guide zeigt, was Souveränität wirklich bedeutet, welche EU-Anbieter in Frage kommen und wie Sie die Migration planen. - **78%** – der CIOs priorisieren digitale Souveränität (Lünendonk-Studie 2025) - **70%** – des EU-Cloud-Markts werden von US-Hyperscalern kontrolliert - **83%** – der Unternehmen halten einseitige Zugangsbeschränkungen für realistisch - **100 Mrd. €** – prognostiziertes Volumen des EU-Sovereign-Cloud-Marktes bis 2031 ## Was „souverän" wirklich bedeutet Viele Unternehmen verwechseln **Datenresidenz** mit **Datensouveränität**. Ein AWS-Server in Frankfurt speichert Daten zwar physisch in Deutschland, aber Amazon als US-Unternehmen unterliegt dem CLOUD Act – und muss auf Anfrage von US-Behörden Daten herausgeben, unabhängig vom Speicherort. ([Igor's Lab: BMI-Gutachten bestätigt Risiken für Datensouveränität](https://www.igorslab.de/en/us-laws-allow-access-to-european-cloud-data-internal-report-by-interior-ministry-confirms-risks-to-digital-sovereignty/)) **Echte Souveränität erfordert drei Kriterien:** 1. **Rechtliche Souveränität:** Der Anbieter unterliegt ausschließlich EU-Recht – keine US-Muttergesellschaft, keine CLOUD-Act-Exposition 2. **Datenresidenz:** Daten werden physisch in der EU gespeichert und verarbeitet 3. **Operationelle Unabhängigkeit:** Betrieb und Support erfolgen durch EU-Personal, ohne Zugriff durch Drittstaaten Ein Rechenzentrum in Frankfurt bei einem US-Anbieter erfüllt nur Kriterium 2. Für die DSGVO-Konformität und NIS2-Lieferkettensicherheit reicht das nicht aus. ## Das CLOUD-Act-Problem Der US CLOUD Act von 2018 verpflichtet US-Unternehmen, Daten auf Anfrage von US-Behörden herauszugeben – **unabhängig vom physischen Speicherort**. Microsofts eigener Rechtsberater gab 2025 vor dem französischen Senat zu: „Nein, ich kann nicht garantieren, dass Daten nicht an US-Behörden weitergegeben werden." ([The Register: Microsoft Cannot Guarantee Data Sovereignty](https://www.theregister.com/2025/07/25/microsoft_admits_it_cannot_guarantee)) Eine detaillierte Analyse der rechtlichen Implikationen finden Sie in unserem Artikel [US CLOUD Act: Warum AWS Frankfurt keine Datensouveränität garantiert](https://anvilstack.eu/compliance/cloud-act-data-risk.md). > **Achtung:** Ein BMI-Gutachten der Universität Köln bestätigt: Die Möglichkeit eines US-Behördenzugriffs auf Daten bei US-Cloud-Anbietern „kann nicht zuverlässig ausgeschlossen werden" – auch nicht durch Verschlüsselung oder technische Schutzmaßnahmen. ([TWINSOFT: EU-Daten in Gefahr – BMI-Gutachten](https://www.twinsoft.de/en/eu-daten-in-gefahr-was-das-neue-rechtsgutachten-ueber-us-behoerdenzugriffe-verraet/)) ## EU-souveräne Cloud-Anbieter im Vergleich Fünf EU-Anbieter erfüllen die drei Souveränitätskriterien. Alle sind in der EU ansässig, haben keine US-Muttergesellschaft und unterliegen damit nicht dem US CLOUD Act: ([Gart Solutions: EU Cloud Provider Guide (2026)](https://gartsolutions.com/digital-sovereignty-of-europe/)) **Hetzner (Deutschland)** – Headquarter in Gunzenhausen, Bayern. Rechenzentren in Nürnberg, Falkenstein und Helsinki. Bekannt für aggressives Preis-Leistungs-Verhältnis und eine entwicklerfreundliche API. NVMe-SSD-Cloud-Server mit AMD EPYC CPUs. **IONOS (Deutschland)** – mehrheitlich Teil der börsennotierten United Internet AG. Eigene Rechenzentren in mehreren Ländern, u.a. Deutschland, Frankreich, Großbritannien, Spanien und den USA, ISO-27001-zertifiziert. **OVHcloud (Frankreich)** – größter in Europa ansässiger Cloud-Infrastruktur-Anbieter mit über 1 Milliarde EUR Jahresumsatz (Geschäftsjahr 2025: 1.084,6 Mio. EUR). Breites Service-Spektrum von VPS bis Bare Metal. ([OVHcloud: Geschäftsergebnis FY2025 (Umsatz 1.084,6 Mio. EUR)](https://corporate.ovhcloud.com/en/newsroom/news/financial-results-fy25/)) **Open Telekom Cloud (Deutschland)** – Betrieben von T-Systems (Deutsche Telekom). BSI C5-zertifiziert, OpenStack-basiert. Hochverfügbarkeitszonen in Deutschland und den Niederlanden. ([Open Telekom Cloud](https://www.open-telekom-cloud.com/en)) **STACKIT (Deutschland)** – Cloud-Plattform der Schwarz-Gruppe (Lidl/Kaufland). Rechenzentren in Deutschland und Österreich, starke DSGVO-Positionierung. ([STACKIT: Die souveräne Cloud](https://stackit.com/en)) | Kriterium | Hetzner | AWS Frankfurt | | ------------------------------ | ------------------------------- | ----------------------------- | | Eigentümer | Hetzner GmbH, Gunzenhausen (DE) | Amazon.com Inc., Seattle (US) | | CLOUD Act | Keine Exposition | Voll exponiert | | BSI C5 | Ja – Typ 2 (seit März 2026) | Zertifiziert | | DSGVO | Nativ konform – nur EU-Recht | Rechtskonflikt mit US-Recht | | Kosten (vergleichbarer Server) | Bruchteil der AWS-Kosten | Hyperscaler-Niveau | | Vendor Lock-in | Gering – Standard-APIs | Hoch – proprietäre Services | | Rechenzentren | Nürnberg, Falkenstein, Helsinki | Frankfurt (US-Betreiber) | ## Kostenvorteil EU-souveräner Anbieter Souveräne Alternativen gelten als teuer – das stimmt nicht. EU-Anbieter wie Hetzner bieten vergleichbare Rechenleistung zu einem **Bruchteil der Hyperscaler-Preise**; den detaillierten Kostenvergleich für eine konkrete Konfiguration zeigt unser Artikel [Hetzner vs. AWS](https://anvilstack.eu/compare/hetzner-vs-aws.md). Der Preisvorteil entsteht durch schlankere Organisationsstrukturen, geringere Margen und den Verzicht auf ein globales Marketing-Budget. Natürlich fehlen bei EU-Anbietern einige der hochgradig verwalteten Services (wie AWS Lambda oder DynamoDB) – aber für die meisten Workloads sind Standard-Container, PostgreSQL und Object Storage völlig ausreichend. ([DEV.to: Best European Cloud Hosting Providers 2025](https://dev.to/dev_tips/the-best-european-cloud-hosting-providers-in-2025-performance-compliance-and-cost-compared-27k)) ## BSI C5: Der deutsche Cloud-Sicherheitsstandard Das **Cloud Computing Compliance Criteria Catalogue (C5)** des BSI gilt als maßgeblicher Standard für Cloud-Sicherheit in Deutschland; die Fassung C5:2020 umfasst 121 Kriterien in 17 Themenbereichen. Behörden und regulierte Branchen (Banken, Versicherungen, Gesundheitswesen) verlangen zunehmend C5-Konformität als Vertragsvoraussetzung. ([BSI: C5 Kriterienkatalog](https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html)) Am 7. April 2026 hat das BSI die überarbeitete Fassung **C5:2026** veröffentlicht – weiterhin 17 Themenbereiche, aber mit deutlich erweiterten Anforderungen, unter anderem zu Confidential Computing, Container-Management, Threat Intelligence, Security Incident Management, Asset Management und dem Umgang mit Behördenanfragen. Für Typ-2-Testate ist C5:2026 ab dem 1. Juni 2027 verbindlich. ([datenschutz-notizen: C5:2026 – der neue Kriterienkatalog](https://www.dsn-group.de/datenschutz-notizen/c52026-der-neue-kriterienkatalog-ist-da-4259808)) ([Schellman: Updates to BSI C5 Standard](https://www.schellman.com/blog/cloud-compliance/updates-to-germanys-bsi-c5-standard)) ## Gaia-X und europäische Cloud-Standards Gaia-X stellt **keine eigene Cloud** bereit. Es definiert Standards und Interoperabilitätsregeln für europäische Cloud-Dienste. Das Gaia-X Trust Framework 3.0 („Danube Release") ermöglicht es Organisationen, branchenspezifische Compliance-Anforderungen als Erweiterungen hinzuzufügen, ohne die technische Interoperabilität zu opfern. ([InfoQ: Gaia-X Trust Framework 3.0 – Danube Release](https://www.infoq.com/news/2026/01/data-sovereignty-trust-framework/)) Allerdings steht Gaia-X in der Kritik: Nachdem US-Hyperscaler wie Microsoft, Google und AWS in die Initiative aufgenommen wurden, sehen Kritiker den ursprünglichen Souveränitätszweck als verwässert an. Für Unternehmen bleibt die pragmatische Empfehlung: Gaia-X-Standards als Orientierung nutzen, aber die Anbieterwahl anhand der drei Souveränitätskriterien (Recht, Residenz, Betrieb) treffen. ## Migration: Was Sie erwartet > **Info:** Eine Cloud-Migration dauert typischerweise **6 bis 18 Monate**. 82% der gescheiterten Migrationen scheitern an unzureichender Planung. ([Kansoft: Cloud Migration Challenges for SMEs 2026](https://kansoft.ch/blogs/cloud-migration-challenges-sme-2026/)) **Phase 1 – Assessment (Monat 1–2):** Bestandsaufnahme aller Cloud-Dienste, Datenflüsse und Abhängigkeiten. CLOUD-Act-Exposition bewerten. Zielarchitektur definieren. **Phase 2 – Planung (Monat 2–3):** Migrationsreihenfolge festlegen, Fallback-Strategie planen, Datenmigrationstools auswählen. Kosten-Nutzen-Analyse der Zielinfrastruktur. **Phase 3 – Migration (Monat 3–12):** Schrittweise Migration mit parallelem Betrieb. Containerisierte Workloads (Docker/Kubernetes) lassen sich am einfachsten migrieren. Datenbankmigration erfordert besondere Sorgfalt. **Phase 4 – Validierung (Monat 12–14):** Performance-Tests, Security-Audit, Compliance-Prüfung. Alten Anbieter erst nach erfolgreicher Validierung kündigen. Seit dem 12. September 2025 verpflichtet der **EU Data Act** Cloud-Anbieter, den Wechsel technisch zu erleichtern und Barrieren abzubauen – ein wichtiger Hebel für Unternehmen, die migrieren wollen. ([Europäische Kommission: Data Act (Cloud-Switching seit 12.09.2025)](https://digital-strategy.ec.europa.eu/en/policies/data-act)) ## Praktische Schritte für KMU 1. **CLOUD-Act-Audit durchführen:** Prüfen Sie, ob Ihr aktueller Cloud-Anbieter oder dessen Muttergesellschaft US-Jurisdiktion unterliegt 2. **Datenkategorisierung:** Klassifizieren Sie Daten nach Sensitivität – nicht alles muss sofort migriert werden 3. **Exit-Strategie dokumentieren:** Viele Mittelständler haben keine – ein Risiko unter den NIS2-Lieferketten- und Notfallmanagement-Pflichten 4. **Containerisierung vorantreiben:** Docker und Kubernetes machen den Wechsel des Cloud-Anbieters deutlich einfacher 5. **Infrastructure as Code:** Terraform-basierte Infrastruktur ist anbieterunabhängig reproduzierbar 6. **Pilotprojekt starten:** Migrieren Sie zunächst eine nicht-kritische Anwendung, um Erfahrung zu sammeln > **Frist:** **Die regulatorische Richtung ist eindeutig:** NIS2 verlangt eine Lieferketten-Risikobewertung, der seit September 2025 geltende EU Data Act erleichtert den Anbieterwechsel, und die gesetzliche Grundlage der US-Überwachungsbefugnis FISA 702 ist am 12. Juni 2026 ausgelaufen – Anlass für erneute „Schrems III"-Debatten. ([EFF: Victory! 702 Has Expired (Juni 2026)](https://www.eff.org/deeplinks/2026/06/victory-702-has-expired)) Wer den Wechsel frühzeitig plant, entscheidet später nicht unter Zeitdruck. ([Europäische Kommission: Data Act (Cloud-Switching seit 12.09.2025)](https://digital-strategy.ec.europa.eu/en/policies/data-act)) Im kostenlosen Erstgespräch klären wir Ausgangslage und Ziel; die Analyse prüft anschließend Ihre Cloud-Infrastruktur auf CLOUD-Act-Exposition. Die vollständige Migration und Härtung auf Hetzner liefern wir für €6.000 pro Monat über 6 Monate (€36.000 gesamt) – mit einer funktionierenden App als Ergebnis, inklusive Containerisierung und Terraform-Setup. [Unverbindliches Erstgespräch vereinbaren](https://anvilstack.eu/contact) ## Häufig gestellte Fragen ### Was bedeutet souveränes Hosting? Echte Souveränität erfordert drei Kriterien: Der Anbieter unterliegt ausschließlich EU-Recht (keine US-Muttergesellschaft), Daten werden physisch in der EU gespeichert, und Betrieb und Support erfolgen durch EU-Personal ohne Drittstaaten-Zugriff. ### Ist Hetzner eine echte Alternative zu AWS? Für die meisten Workloads ja. Hetzner bietet vergleichbare Rechenleistung zu einem Bruchteil der AWS-Preise. Standard-Container, PostgreSQL und Object Storage decken die Anforderungen der meisten SaaS-Plattformen ab. ### Welche EU-Cloud-Anbieter gibt es? Hetzner (Deutschland), IONOS (Deutschland), OVHcloud (Frankreich), Open Telekom Cloud (Deutsche Telekom), STACKIT (Schwarz-Gruppe) und Scaleway (Frankreich). Alle sind in der EU ansässig, haben keine US-Muttergesellschaft und unterliegen damit nicht dem US CLOUD Act. ### Wie lange dauert eine Cloud-Migration? Typischerweise 6 bis 18 Monate. 82% der gescheiterten Migrationen scheitern an unzureichender Planung. Containerisierte Workloads lassen sich am einfachsten migrieren. Der EU Data Act verpflichtet Cloud-Anbieter seit September 2025, den Wechsel technisch zu erleichtern. ### Was ist BSI C5? Der Cloud Computing Compliance Criteria Catalogue des BSI gilt als maßgeblicher Standard für Cloud-Sicherheit in Deutschland; Behörden und regulierte Branchen verlangen zunehmend C5-Konformität. Die Fassung C5:2020 umfasst 121 Kriterien in 17 Themenbereichen. Am 7. April 2026 hat das BSI die Nachfolgefassung C5:2026 veröffentlicht, die für Typ-2-Testate ab dem 1. Juni 2027 verbindlich ist. ### Warum sollte ich jetzt migrieren? NIS2 verlangt eine Lieferketten-Risikobewertung, der EU Data Act erleichtert seit September 2025 den Anbieterwechsel, und die US-Überwachungsbefugnis FISA 702 stand im April 2026 zur Neugenehmigung an. Die regulatorische Richtung geht eindeutig weg von US-Abhängigkeiten. ## Quellen - [Synergy Research: European Cloud Providers Hold 15% Market Share (2025)](https://www.srgresearch.com/articles/european-cloud-providers-local-market-share-now-holds-steady-at-15) - [Igor's Lab: BMI-Gutachten bestätigt Risiken (2025)](https://www.igorslab.de/en/us-laws-allow-access-to-european-cloud-data-internal-report-by-interior-ministry-confirms-risks-to-digital-sovereignty/) - [The Register: Microsoft Cannot Guarantee Data Sovereignty (2025)](https://www.theregister.com/2025/07/25/microsoft_admits_it_cannot_guarantee) - [TWINSOFT: EU-Daten in Gefahr – BMI-Gutachten](https://www.twinsoft.de/en/eu-daten-in-gefahr-was-das-neue-rechtsgutachten-ueber-us-behoerdenzugriffe-verraet/) - [Gart Solutions: EU Cloud Provider Guide (2026)](https://gartsolutions.com/digital-sovereignty-of-europe/) - [OVHcloud: Geschäftsergebnis FY2025 (Umsatz 1.084,6 Mio. EUR)](https://corporate.ovhcloud.com/en/newsroom/news/financial-results-fy25/) - [Open Telekom Cloud – Deutsche Telekom](https://www.open-telekom-cloud.com/en) - [STACKIT: Die souveräne Cloud der Schwarz-Gruppe](https://stackit.com/en) - [DEV.to: Best European Cloud Hosting Providers 2025](https://dev.to/dev_tips/the-best-european-cloud-hosting-providers-in-2025-performance-compliance-and-cost-compared-27k) - [BSI: C5 Kriterienkatalog](https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html) - [Schellman: Updates to BSI C5 Standard](https://www.schellman.com/blog/cloud-compliance/updates-to-germanys-bsi-c5-standard) - [InfoQ: Gaia-X Trust Framework 3.0 – Danube Release (2026)](https://www.infoq.com/news/2026/01/data-sovereignty-trust-framework/) - [Kansoft: Cloud Migration Challenges for SMEs 2026](https://kansoft.ch/blogs/cloud-migration-challenges-sme-2026/) - [Europäische Kommission: Data Act (Cloud-Switching seit 12.09.2025)](https://digital-strategy.ec.europa.eu/en/policies/data-act)